무슨 일이 있었나
AWS AI-DLC Workflows의 aidlc-traceability CLI의 HTML 보고서 생성기에서 저장된 교차 사이트 스크립팅 (2026-11-02 게시, CVSS 3.1 5.0 / CVSS 4.0 4.6). 이는 로컬, 사용자 상호작용이 필요한 저장된 XSS로 프로젝트 아티팩트를 수정할 수 있는 능력과 사용자가 결과 보고서를 볼 수 있어야 합니다.
왜 중요한가
낮은 심각도에도 불구하고 이는 AWS 자체 AI 딥러닝 컨테이너 워크플로우 도구에서 카탈로그화된 결함입니다: 프로젝트의 AI-DLC 아티팩트 파일에 영향을 미칠 수 있는 모든 사람이 추적 보고서에 스크립트를 주입할 수 있으며, 이 보고서는 일반적으로 검토자와 감사자와 공유됩니다 — AI/ML 공급망 워크플로우 컨텍스트에서 피싱 또는 자격 증명 접촉 스크립트의 그럴듯한 경로입니다.
공격 경로
프로젝트의 AI-DLC 아티팩트 파일에 있는 조작된 아티팩트 제목 또는 설명이 생성된 HTML 추적 보고서에 샌타이징 없이 포함됩니다. 사용자가 브라우저에서 해당 보고서를 열면 저장된 스크립트가 보고 페이지의 컨텍스트에서 실행됩니다.
영향받는 시스템
AWS aidlc-traceability CLI (awslabs/aidlc-workflows) commit 96cf0ea 이전; commit 96cf0ea 또는 로컬 사본 업데이트/제거로 수정
완화 방안
2026-07-03 이전에 얻은 aidlc-traceability의 로컬 사본을 제거하거나 commit 96cf0ea 이상으로 업데이트하십시오; CLI는 2026-07-16에 저장소에서 제거되었습니다.